Symfony中PreAuthenticatedToken.getCredentials返回null问题求助

疑问1：为什么已认证时eraseCredentials仍会被调用？ #

你之前的理解有偏差——eraseCredentials()方法并非仅在用户登出时执行。在Symfony的安全认证流程中，当用户成功完成认证后，Security组件会自动调用该方法来清除credentials字段中的敏感数据（比如密码、临时令牌等），这是一种默认的安全防护机制，防止敏感信息意外泄露或被持久化存储。

这个调用通常发生在认证成功的后续处理环节（比如AuthenticationListener完成认证后），属于Symfony安全体系的标准行为，和用户是否登出没有关系。

疑问2：操作误区与正确实现方式 #

为什么直接存credentials不行？ #

PreAuthenticatedToken的credentials字段设计初衷是存储临时认证凭证，而非需要长期保留的敏感信息。Symfony默认会通过eraseCredentials()清理这个字段，所以你依赖它存储API密钥的方式不符合这个Token的设计预期，而且修改核心类的代码是绝对不推荐的（会破坏安全性、影响后续版本升级）。

正确的API密钥存储方案 #

推荐两种可靠的方式：

方案1：将API密钥存入Token的attributes属性

PreAuthenticatedToken的attributes数组是专门用来存储自定义附加数据的，不会被eraseCredentials()清理。修改你的authenticateToken方法：

return new PreAuthenticatedToken(
    $user,
    $apiKeys, // 这里仍需传入，但会被清除，不影响我们的存储
    $providerKey,
    $user->getRoles(),
    ['api_key' => $apiKeys] // 把API密钥存入attributes
);

然后在自定义服务中获取：

$token = $this->container->get("security.token_storage")->getToken();
if ($token !== null) {
    $apiKey = $token->getAttribute('api_key'); // 正确获取API密钥
}

方案2：将API密钥关联到User实体（更推荐）

如果API密钥和用户是绑定关系，最好直接在你的User类中添加对应的属性和方法：

// src/Entity/User.php
class User implements UserInterface
{
    // ... 其他属性和方法

    private ?string $apiKey = null;

    public function getApiKey(): ?string
    {
        return $this->apiKey;
    }

    public function setApiKey(string $apiKey): self
    {
        $this->apiKey = $apiKey;
        return $this;
    }
}

在认证时给User对象设置API密钥：

// 在你的A类的authenticateToken方法中
$user->setApiKey($apiKeys);
return new PreAuthenticatedToken(
    $user,
    $apiKeys,
    $providerKey,
    $user->getRoles()
);

之后在自定义服务中直接从User对象获取：

$token = $this->container->get("security.token_storage")->getToken();
if ($token !== null && $token->getUser() instanceof User) {
    $apiKey = $token->getUser()->getApiKey();
}

这种方式更符合Symfony的用户模型设计，也更易于维护和扩展。

内容的提问来源于stack exchange，提问作者Profitroll